Welche Fragen helfen bei der Vendor-Registrierung, um festzustellen, ob der Vendor als Auftragsverarbeiter agiert?

Um festzustellen, ob ein neuer Vendor (Dienstleister, Lieferant) als Auftragsverarbeiter im Sinne der DSGVO (Datenschutz-Grundverordnung) agiert, sollte die Abteilung gezielte Fragen stellen, die klären, ob und wie der Vendor personenbezogene Daten im Auftrag des Unternehmens verarbeitet. Wichtige Fragen sind:

1. **Werden personenbezogene Daten im Rahmen der Dienstleistung verarbeitet?**
(z. B. Kundendaten, Mitarbeiterdaten, Nutzerdaten)

2. **Verarbeitet der Vendor die Daten ausschließlich im Auftrag und nach Weisung des Unternehmens?**
(Oder entscheidet der Vendor selbst über Zwecke und Mittel der Verarbeitung?)

3. **Welche Art von personenbezogenen Daten werden verarbeitet?**
(z. B. Name, Adresse, Kontaktdaten, besondere Kategorien wie Gesundheitsdaten)

4. **Zu welchen Zwecken werden die Daten verarbeitet?**
(z. B. Hosting, Support, Marketing, Lohnabrechnung)

5. **Hat der Vendor Zugriff auf die Daten oder werden diese nur durchgeleitet?**
(z. B. Speicherung, Bearbeitung, Löschung)

6. **Findet die Verarbeitung der Daten ausschließlich im Rahmen der vertraglich vereinbarten Leistungen statt?**

7. **Werden die Daten an Dritte weitergegeben oder Subunternehmer eingesetzt?**
(Wenn ja: Wer sind diese und wo sitzen sie?)

8. **Wer trägt die Verantwortung für die Einhaltung der Datenschutzvorschriften bei der Verarbeitung?**
(Vendor oder das Unternehmen?)

9. **Findet eine Übermittlung der Daten in Drittländer außerhalb der EU/des EWR statt?**
(Wenn ja: Welche Schutzmaßnahmen bestehen?)

10. **Besteht bereits eine Vereinbarung zur Auftragsverarbeitung (AVV) oder ist der Vendor bereit, eine solche abzuschließen?**

Mit diesen Fragen kann die Abteilung einschätzen, ob der Vendor als Auftragsverarbeiter im Sinne von Art. 28 DSGVO einzustufen ist und ob entsprechende vertragliche und organisatorische Maßnahmen erforderlich sind.